l'idée (par ailleurs illusoire) d'accélérer la mise en descente et de contrer ainsi l'effet ascensionnel dû à
la sortie des hypersustentateurs, soit enfin à cause de l'effet d'une turbulence sur le geste.
Dans ce cas l'oubli de contrôle ultérieur conduit à une trajectoire commandée anormale. L'affichage d'une valeur de consigne de 3300 ft/mn d'un seul geste demande un tout petit peu plus d'un tour de rotacteur en mode VS (un tour comporte 32 crans correspondant à un incrément d'affichage de 3200 ft/mn), et plus de trois tours de rotacteur en mode FPA (où il faut afficher 9.9° au moins).
Des essais ont montré qu ' il s' agit dans le second cas d'un geste difficile à réaliser, et en tout cas très peu naturel, qui le rend fort peu probable. Le mode FPA luimême étant très peu probable (cf § 1.17.5), cette hypothèse peut être abandonnée. Dans le cas du mode VS, en revanche, (considéré ici comme volontaire), le geste est possible. Cependant:
- on suppose que le mode VS résulte d'un choix conscient (sinon on est dans l'erreur de mode),
donc d'un changement de stratégie par rapport au briefing, changement qui n'a été ni annoncé ni
commenté;
- la faible expérience du commandant sur l'avion et sa personnalité ne plaident pas du tout en
faveur d'un tel gestuel;
- la valeur affichée "par hasard" est précisément celle qui correspond, numériquement, à
l'affichage nominal. Il faut donc prendre en compte la probabilité conditionnelle de tomber
sur 3°3;
- une procédure de type „ affichage très grossier/ retour pour affiner" comporte un bon pouvoir de
rappel à court terme concernant la seconde étape. L'hypothèse "le commandant a oublié totalement de
revenir sur son affichage" est donc moins probable que l'hypothèse Il étant revenu sur son affichage,
il a été satisfait de constater une valeur de 3°3, ou une valeur voisine qu'il a légèrement ajustée".
On retrouve alors à ce stade, sous une f orme un peu différente la mauvaise conscience d'une
incohérence unité d'affichage/ mode vertical actif.
Ceci a conduit la commission à retenir cette hypothèse comme un générateur possible mais très peu
21.222.2 - le second mécanisme (branche 011 10) met en scène un mécanisme d'erreur plus complexe:
l'application dans l'action présente d'un élément de projet d'action passé non réactualisé. Dans ce
scénario, le commandant est
181
parfaitement conscient du mode de pilotage vertical (VS), mais il effectue l'affichage de la valeur de
consigne par un geste machinal, en tirant de sa mémoire la valeur calculée précédemment et annoncée lors du briefing (voir temps QAR 2741), soit 3°3. En d'autres termes, il affiche un nombre sans dimension, sans
effectuer alors de contrôle mettant en oeuvre la signification de ce nombre.
Ce type de fonctionnement, très économe en ressources mentales, permet d'affecter le maximum d'attention au traitement d'un problème perçu comme prioritaire. Ce type d'erreur est en conséquence plausible dans le contexte de focalisation de l'attention sur la navigation latérale et la mise en configuration de l'avion, qui prévaut dans le cockpit à ce moment du vol.
Ceci a conduit la commission à considérer cette hypothèse, contenue dans la branche 011 10, comme un générateur possible et assez probable de l'accident.
21.3 - Analyse de la branche 1: hypothese d'une trajectoire non commandée par l'équipage
21.31- Branche 11
21.311- L'examen de l'épave (voir § 113.2) a permis de déterminer que l'avion n'avait subi aucune
rupture ni aucune perte de surface aérodynamique mobile
antérieures à l'impact avec les arbres et le sol.
Ceci permet à la commission de réfuter les hypothèses contenues dans la branche 111 de l'arbre des
21.312 - L'examen de l'épave, l'analyse de la répartition des débris, la reconstitution de la trajectoire d'entrée dans les arbres, l'analyse des paramètres du QAR représentatifs de la trajectoire verticale et la comparaison de celleci avec le modèle aérodynamique de l'avion, montrent que l'avion n'a subi aucune perte de contrôle aérodynamique avant l'impact.
Ceci permet à la commission de réfuter les hypothèses contenues dans la branche 110 de l'arbre des
21.32 - Branche 10: défaillance d'un moyen de
commande de la trajectoire verticale
21.321 - Perte de la poussée
L'examen et l'expertise des moteurs, ainsi que l'analyse des paramètres enregistrés par le OAR les concernant, démontrent que les moteurs fonctionnaient avant l'impact à un régime compatible avec un ralenti vol, et que ce régime correspondant aux ordres de poussée normalement envoyés
182
pour la configuration de l'avion et sa trajectoire par le dispositif de commande automatique de la poussée (A/THR). Ceci permet de réfuter les hypothèses contenues dans la branche 100 de l'arbre des générateurs.
21.322 - Défaillance de la chaine de commande de
21.322.1 - Les éléments d'analyse présentés dans ce paragraphe permettent en conséquence de réfuter globalement l'hypothèse d'une trajectoire non commandée par l'équipage, à l'exception des cas représentés par la branche loi, qui regroupe tous les cas possibles de défaillance de la chaîne de commande de profondeur.
Cette chaîne comprend des éléments répertoriés sous la rubrique ATA 22 ( Autopilot, Flight Director, Autothrust, Flight Augmentation Computer, Flight Management and Guidance System, Autoflight System Bite) et des éléments répertoriés sous la rubrique ATA 27 (THS, Spoilers, ELAC, SEC,..). L'ensemble des défaillances possibles dans la chaîne fonctionnelle a été divisé en deux, de part et dl autre de la prise en compte de la consigne par le FMGC.
21.322.2 -Défaillance en amont de la prise de
L'examen des défaillances éventuelles situées en amont de la prise en compte de la consigne par le FMGC, regroupées dans la branche 1010 de l'arbre des générateurs, a fait l'objet du § 117.22.
Ces possibilités de défaillance technique envisagées concernent soit le mode de pilotage vertical, soit la prise en compte de la valeur de consigne sélectée par l'équipage.
Concernant le mode vertical, on a envisagé les possibilités de défaillance suivantes:
- mauvais fonctionnement du bouton poussoir de sélection de la référence: malgré une action de
l'équipage sur ce bouton, le changement de référence de HDG-VS en TRK-FPA ne s'effectue pas (branche 101 000 1). Comme l'indiquent les recherches rapportées au § 117.63, il existe des cas connus d'une telle
défaillance, et rien ne permet d'exclure formellement qu'elle se soit produite.
Ceci a conduit la commission a retenir l'hypothèse représentée par la branche 101 000 1 comme générateur
possible de l'accident.
- changement intempestif de mode (branche 101 000 0) :
après le changement de mode de HDG-VS en TRK-FPA, il y
a réversion intempestive vers le mode initial.
183
La démonstration qu'il n'y a pas eu de changement de référence (voir § 117.5) permet de réfuter cette hypothèse, contenue dans la branche 101 000 0.
- activation intempestive de mode: lors de la sélection de la valeur de consigne par rotation du sélecteur, le mode de descente s'engage intempestivement sans qu'il y ait eu action à tirer sur le rotacteur (branche 101 001) . Il existe des cas connus d'une telle défaillance. Rien ne permet d'exclure cette hypothèse, mais la contribution à l'accident d'un tel événement serait nulle ou marginale. En effet la mise en descente s'est effectuée à la distance spécifiée (11,2NM) et suit d'environ 15 secondes l'autorisation d'approche finale. Tout indique par conséquent qu'elle a été commandée par l'équipage.
Ceci a conduit la commission à réfuter la branche 101 001 comme un générateur possible de l'accident.
Concernant les valeurs de consiqne, on a envisagé les possibilités de défaillance suivantes:
- panne d'un segment lumineux d'affichage, d'où un affichage erroné. On envisage ici que l'équipage a
sélectionné le mode FPA, qu'il veut afficher l'angle de descente prévu durant le briefing
(3°3), qu'il tourne le rotacteur rapidement et sans regarder dans un premier temps les valeurs
affichées, dépassant ainsi largement la valeur cible, et qu'il affiche finalement 9°9 en lisant
3°3 par suite de la panne de la première barrette verticale. (On peut exclure comme trop
improbable la double panne permettant d'afficher 9°9 en lisant 3°3).
Cette hypothèse, contenue dans la branche 101 010, est réfutée par les trois raisons suivantes :
- le mode sélecté était presque sûrement le mode VS;
-la vitesse verticale qui aurait résulté d'un affichage de 9°3 en mode FPA est nettement
inférieure celle enregistrée par le QAR;
-la manoeuvre du rotacteur nécessaire pour afficher 9°3 est nettement plus ample que
celle correspondant à l'affichage de 3°3;
- corruption de la valeur de consigne transmise par le FCU vers le FMGC1 (branche 101 011) :
l'équipage affiche correctement la valeur cible compatible avec le plan de descente nominal
(environ 800 ft/mn en mode VS). Celleci apparaît correctement dans la
184
fenêtre d'affichage, mais la valeur transmise et prise en compte par le FMGC1 est différente (et supérieure) .
Il existe un cas connu de FCU présentant cette défaillance, ayant conduit huit mois après l'accident à trois cas de réaction anormale du même avion en vol. Les éléments recueillis par l'enquête n'ont pas permis d'exclure formellement qu'une telle défaillance se soit produite, conduisant à une vitesse verticale stabilisée de 3300 ft/mn pour une valeur affichée de l'ordre de 800 ft/mn. Cependant la fréquence connue d'un tel événement est très faible : en effet, fin décembre 1992, les exploitants d'A320 avaient effectuées un million quatre cent mille heures de vol, au cours desquelles on dénombre un défaut identifié, affectant un même FCU (événements Air Inter en septembre 1992, voir § 1.17.6.3).
Cette hypothèse suppose déjà que le mode vertical activé volontairement soit le mode VS, contrairement au briefing effectué, et sans que ce changement ait été signalé. De plus la coïncidence d'un taux dé descente égal à 3300 ft/mn et de l'angle de descente de 3,3° envisagé par l'équipage lors de son briefing amène à prendre en compte un facteur conditionnel supplémentaire, à savoir la probabilité que la VS (corrompue) prenne une valeur particulière parmi toutes les valeurs possibles.
Compte tenu de ces éléments, la commission a retenu cette hypothèse, contenue dans la branche 101 011, comme un générateur possible mais très peu probable.
21.322.3 - Défaillance en aval de la prise de consigne
L'examen d'éventuelles défaillances fonctionnelles situées en aval de la prise en compte de la consigne par le FMGC (branche 101 1 de l'arbre des générateurs) fait l'objet du § 117.23.
L'ensemble des examens effectués permet d'affirmer que le plan horizontal réglable et les gouvernes de profondeur étaient à tout instant dans des positions conformes aux ordres d'un pilote automatique qui fonctionne nominalement et pilote les paramètres de la trajectoire effectivement suiviee par l'avion, avec en particulier une cible de vitesse verticale constante et égale à 3300 ft/mn.
Par ailleurs la position des becs et des volets correspondait aux configurations sélectionnées et annoncées par l'équipage, les spoilers fonctionnaient normalement, et le calculateur ELAC2 qui gère la commande de profondeur n'a pas été déclaré en panne.
L'apparition et le maintien d'un taux de descente très élevé ne peut donc pas avoir été provoqué par une
185
défaillance d'un élément de la chaîne de profondeur répertoriée dans la branche 1011 de l'arbre des
générateurs.
21.4 - Conclusion sur les hypothèses conservées
21.41 - Principes de sélection
Comme l'indiquent les analyses précédentes, cette enquête s'est avérée difficile, et malgré les efforts investis, les éléments disponibles n'ont pas permis de déterminer avec certitude le scénario de cet accident.
Même en se concentrant sur l'explication du seul événement pivot, la commission n'a pas été en mesure d'apporter la démonstration complète de la validité d'une seule hypothèse, à l'exclusion de toutes les autres.
Dans ces conditions, la commission a été amenée à choisir, parmi les hypothèses non réfutées, celles qui lui paraissaient justifier qu'on poursuive une réflexion de sécurité spécifique. Elle a retenu pour cela, d'une part celles qui lui paraissaient les plus probables (sans que les probabilités affectées prétendent représenter mieux que des ordres de grandeur très généraux) , et d'autre part celles qui, même dépourvues de ce lien de probabilité élevée avec l'accident, lui paraissaient porteuses d'une interpellation forte vis à vis de principes de sécurité importants.
21.42 - Hypothèses retenues
Dans cet esprit, la commission a retenu les hypothèses suivantes pour ce qui concerne l'explication
21.421 - Hypothèse N°1 :
le taux de descente anormalement élevé a été commandé involontairement par l'équipage, par suite d'une mauvaise conscience du mode de pilotage automatique vertical.
Après avoir effectué un éloignement et un virage retour sous contrôle radar et en mode HDG, 1 'équipage a commandé la descente finale en restant en référence HDG-VS, tout en affichant „33" dans la fenêtre FCU:
21.421.1 - variante 1A: pour descendre sous un angle (FPA) de 3°3, en se croyant en mode FPA, mais en ayant oublié de changer de référence, ou par oubli/erreur sur l'association HDG-VS;
21.421.2 - variante 1B: pour descendre sous un angle (FPA) de 3°3, en se croyant en mode FPA, par erreur de
186
manipulation du bouton de changement de référence (action sur l'inverseur d'unité d'altitude).
La commission considère cette hypothèse N °1 assez probable.
21.422 - Hypothèse N°2:
Le taux de descente anormalement élevé a été commandé involontairement par l'équipage, par suite d'une conscience erronée de la signification des chiffres affichés.
Apres avoir effectué un éloignement et un virage retour sous contrôle radar et en mode HDG, l'équipage a commandé la descente finale en décidant de rester en référence HDG-VS, et en affichant „33" dans la fenêtre FCU parce que c'était la valeur à afficher déterminée lors du briefing.
La commission considère cette hypothèse N°2 assez
21.423 - Hypothèse N°3:
Le taux de descente anormalement élevé résulte :
21.423.1 - variante 3A : d'une défaillance du FCU (mauvais fonctionnement du bouton poussoir de sélection de référence);
21.423.2 - variante 3B : d'une défaillance de la chaine de transmission de la valeur de consigne au FMGC.
La commission considère cette hypothèse N°3 très peu probable.
Le paragraphe qui suit établit la séquence des événements significatifs qui aboutit à l'accident. Cette séquence comporte évidemment l'événement pivot, avec les éclairages des différentes hypothèses explicatives retenues au paragraphe 21.4. Elle comporte également d'autres événements reliés à l'accident par des relations de causalité plus ou moins fortes et directes, concernant par exemple la trajectoire latérale, ou la charge de travail. Elle comporte enfin des éléments de pur contexte: environnement, circonstances, coïncidences, etc.
21.51 - La préparation du vol
Le vol de 1'accident a été précédé d' un vol Orly-Lyon. Sa préparation a été commencée à Orly et complétée lors de l'escale de Lyon. Dans les deux cas, selon les
187
éléments recueillis par l'enquête, les procédures qui ont été suivies par l'équipage sont conformes à celles prévues par la compagnie.
A Lyon un témoin a vu 1 'équipage manger. Les deux pilotes ont pris au moins partiellement leur repas.
Le éléments recueillis par l'enquête laissent supposer que 1 'équipage a introduit dans le FMS une COROUTE "LYSSXB", une arrivée ILS 23.
21.52 - Le début du vol
Le décollage de Lyon-Satolas est effectué à 17h39mn50s en piste 36. Le commandant de bord est le pilote en fonction (PF) . A 17h4lmnOls, la fréquence ILS bascule de 110.7 Mhz (fréquence de l'ILS de la piste 36 de LyonSatolas) à 110.1 Mhz (fréquence de l'ILS de la piste 23 de Strasbourg). Cela signifie que l'approche ILS 23 avait été programmée sur le FMS avant le décollage. La fréquence ADF de la radiobalise SE de Strasbourg est affichée en atteignant le niveau de vol 180. La croisière est effectuée à ce niveau de vol, pilote automatique N°1 (APl) engagé. La vitesse indiquée est de 327 Kt, ce qui correspond à la vitesse managée pour ce niveau de vol et un cost index de 55 (valeur prévue par Air Inter).
Le contact est établi avec Reims Contrôle à 17h53mn55s. Le contrôleur indique à l'équipage "procédez Luxeuil et arrivée standard pour Strasbourg" et le copilote collationne. Il existe en fait deux trajectoires d'arrivée susceptibles de cette appellation: la trajectoire LULANDLO-STR et la trajectoire LUL-OBORN-SE.
21.53 - La Préparation de l'arrivée: la stratégie ILS 23
A partir de 17h56mn38s, le copilote écoute l'ATIS de Strasbourg sur la demande du commandant et l'informe à 17h57mnl3s de la piste effectivement en service : "c'est la zéro cinq en service". L'ATIS indique la piste en service mais ne précise pas de procédure en vigueur. Le commandant questionne le copilote : "la zéro cinq? Qu'estce qu'ils passent comme vent?" et n'obtient pas de réponse. Il reprend: "tu me passe notre météo? Qu'estce qu'ils passent comme plafond, là?". Le copilote lui répond sans certitude (Il huit huitièmes à trois mille, il faudrait que je le reprenne") . Il est probable que le commandant lit alors les notes prises par le copilote lors de sa première écoute de l'ATIS.
A 17h57mn57s (temps QAR 1705), la piste 05 est insérée au MCDU, comme en témoigne l'enregistrement QAR (disparition de la fréquence ILS 110.1 Mhz). Cette
188
|
|
Peter B. Ladkin, 1999-02-08
|
|
Last modification on 1999-06-15
by Michael Blume
|